一种IPv6网络中的移动节点注册方法、系统及装置

摘要

一种英特网协议版本6(IPv6)网络中的移动节点注册方法、系统及装置，其中，接收移动节点发送的绑定更新请求后，在该移动节点的家乡地址没有在所设置的家乡地址列表中时，判断出在所设置的安全联盟列表中，所述设置的安全联盟列表中保护的移动节点的家乡地址，在其他节点要求使用时，不予接受；移动节点返回携带成功绑定信息的绑定确认消息，将该移动节点的家乡地址和当前的转交地址的绑定缓存，建立家乡代理与该移动节点之间的隧道。因此，本发明提供的方法、系统及装置保证MN到HA注册的时间减少，避免在MN向HA注册过程中由于时间过长而导致被DOS攻击的可能性以及报文丢弃或已有连接的中断问题。

说明书

技术领域

本发明涉及英特网协议版本6(IPv6)中实现移动节点(MN，MobileNode)移动性的技术，特别涉及一种IPv6网络中的MN注册方法、系统及装置。

背景技术

移动IPv6是在IPv6网络中实现MN移动性的协议，当MN在IPv6网络中移动时，可以不用更改其家乡地址，仍旧可以保持其可达性。

在IPv6网络中实现MN移动性涉及三种实体：MN、家乡代理(HA，Home Agents)以及通信对端(CN，Correspondent Nodes)，其中，MN，可以移动并通过不同的链路接入IPv6网络的网络侧，但始终通过其家乡地址保持其可达性；HA，为MN家乡网络中的路由器，当MN移动到其他网络中时，向HA注册当前的转交地址，HA将MN的家乡地址和转交地址相绑定，建立HA和MN之间的隧道，HA在MN的家乡网络中截获发向MN家乡地址的报文，封装后，通过HA和MN间的隧道将报文转发给MN在HA注册的转交地址中；CN，和MN通信的节点，给MN发送报文时，将报文发送到MN的家乡网络中，即将报文发送给MN的家乡地址，CN可以是其他MN，也可以是固定节点。

图1为现有技术在IPv6网络中实现MN移动性的系统结构示意图，如图所示：包括MN、HA以及CN，其中，MN当前所在的网络不是其家乡网络，MN通过IPv6网络和HA交互，HA通过IPv6网络和CN进行交互。当CN向MN发送报文时，报文携带CN的家乡地址和HA的介质访问控制(MAC)地址，报文通过IPv6网络后被具有该报文携带的MAC地址的HA截获，HA根据MN的家乡地址对应的当前转交地址，重新封装携带MN的当前转交地址的报文，通过IPv6网络发送给MN。

为了在IPv6网络中实现MN的移动性，即MN移动到除家乡网络之外的网络收发报文，通常需要三个步骤：第一个步骤为动态HA发现机制，即无论MN何时移动到家乡网络之外的网络，MN都试图发现家乡网络中的HA；第二个步骤为注册步骤，即MN向HA进行注册，将当前的转交地址注册到HA，HA将MN的家乡地址和当前的转交地址进行绑定，建立HA和MN之间的隧道，将MN的家乡地址设置在家乡地址列表中；第三个步骤为报文传输，即MN通过与HA之间建立的隧道进行通信和报文传输，接收HA发送到MN注册的当前转交地址的报文。

后续MN再次通过HA进行报文交互时，HA通过查询家乡地址列表发现已经存储了MN的家乡地址的绑定，即已经对MN进行了注册，所以后续再不用注册了，直接进行报文交互。

其中，MN为了传输报文，必须到HA进行当前转交地址的注册，也就是进行第二个步骤，图2为现有技术MN到HA进行注册的方法流程图，其具体步骤为：

步骤201、MN向HA发送绑定更新请求消息。

步骤202、HA接收到绑定更新请求消息后，对该MN进行验证。

步骤203、HA对该MN验证通过之后，HA启动重复地址检测(DAD，Duplicate Address Detection)，对该MN的家乡地址进行重复地址检测。

在本步骤中，HA需要获取到该MN的家乡地址，如通过绑定更新请求消息携带。

这个重复地址检测过程可以保证该MN离开家乡网络到其他网络的过程中，没有属于同一家乡网络的其他节点配置了和该MN相同的家乡地址。如果其他节点配置了和该MN相同的家乡地址，这个注册过程就不会成功，HA会向该MN发送绑定确认消息，通知该MN进行的DAD失败，也就是在该MN不在家乡网络时有其他节点配置了该MN使用的家乡地址。

采用步骤203的过程进行DAD检测，就可以保证后续该MN家乡地址和当前的转交地址绑定的唯一性，从而保证该MN和HA建立隧道的唯一性，保证该MN在传输报文时的家乡地址可达。

步骤204、HA进行DAD过程到达定时器设定的时间(最小设定的时间为1秒)后，没有检测到其他MN使用该MN的家乡地址。

步骤205、HA向该MN发送绑定确认消息，携带成功绑定信息，并且在HA上生成将该MN的家乡地址和当前的转交地址的绑定缓存，建立HA与该MN之间的隧道，将MN的家乡地址设置在家乡地址列表中。

在进行该MN当前的转交地址和该MN的家乡地址绑定之前，需要获取该MN当前的转交地址，该MN当前的转交地址可以是MN通过绑定更新请求消息发送的。

在建立了HA和该MN之间的隧道后，HA就作为MN家乡地址的代理存在，HA一直保存该MN的家乡地址，用于接收发送到该家乡地址的给该MN的报文且将该报文通过和MN建立的隧道发送到MN当前的转交地址上去。

图2所示的过程为移动到家乡网络外的MN到HA的第一次注册，再后续的注册过程中，如MN再次移动，也就可以不进行DAD检测，即判断该MN的家乡地址在建立的家乡地址列表中，直接进行家乡地址和当前的转交地址重新绑定即可完成HA与该MN之间的隧道建立。

在MN到HA的第一次注册的过程中，存在两个问题，以下分别进行说明。

第一个问题，在注册过程中可能会遭到DOS攻击的可能性，这是因为当MN离开家乡网络移动到其他网络的过程中有一个时间间隔，在这个时间间隔中，MN的家乡地址是可以被其他MN所使用的，就有很大可能其他MN在这个时间间隔中配置与该MN的家乡地址同样的家乡地址。这样，HA进行的DAD过程时就会失败，该MN就不能成功的向HA注册，也不能接受到移动服务了。所以即使HA存储有该MN的家乡地址(比如HA有手工配置的该MN的家乡地址)，HA仍允许在该MN的移动过程中必然存在的时间间隔中，在家乡网络上的其他MN配置和该MN相同的家乡地址。

第二个问题，在注册过程中的注册时间是一个很重要的参数，因为注册过程中的时延会导致该MN传输的报文的丢弃以及该MN的已有连接的中断。在图2所示的方法中，该MN移动时的时延是由DAD过程引入的设定时间(最少为1秒)，所以注册时间至少花费大于1秒的时间，这个延时是该MN在发送绑定更新请求消息之后并等待绑定确认消息间的最小超时时间，在该MN进行注册的过程中，通常都应该是超时退出DAD过程，从而说明在HA上的该MN家乡地址没有被其他MN使用，只有当DAD过程失败，也就是HA在发送绑定更新请求消息之后并快速接收到绑定确认消息时，注册失败的过程会快一些。

综上，申请人在实现本发明的过程中发现，导致上述两个问题的根源为MN到HA的第一次注册的时间过长而导致的，如何减小MN到HA注册的时间成为了一个亟待解决的问题。

发明内容

本发明实施例提供一种IPv6网络中的MN注册方法，该方法能够保证MN到HA注册的时间减少。

本发明实施例还提供一种IPv6网络中的MN注册系统，该系统能够保证MN到HA注册的时间减少。

本发明实施例还提供一种IPv6网络中的MN注册装置，该装置能够保证MN到HA注册的时间减少。

根据上述目的，本发明实施例的技术方案是这样实现的：

一种英特网协议版本6 IPv6网络中的移动节点注册方法，其特征在于，该方法包括：

接收移动节点发送的绑定更新请求后，在该移动节点的家乡地址没有在所设置的家乡地址列表中时，判断是否在所设置的安全联盟列表中，所述设置的安全联盟列表中保护的移动节点的家乡地址，在其他节点要求使用时，不予接受；

如果所述移动节点地家乡地址在所述安全联盟列表中，则向移动节点返回携带成功绑定信息的绑定确认消息，将该移动节点的家乡地址和当前的转交地址的绑定缓存。

一种IPv6网络中的移动节点注册系统，包括移动节点和家乡代理，其中，

移动节点，用于向家乡代理发送绑定更新请求，接收家乡代理发送的携带绑定成功信息的绑定确认消息；

家乡代理，用于接收移动节点发送的绑定更新请求，在该移动节点的家乡地址没有设置在家乡地址列表中时，检测到该移动节点的家乡地址在设置安全联盟列表中，向该移动节点返回携带绑定成功信息的绑定确认消息，在家乡代理上生成将该移动节点的家乡地址和当前的转交地址的绑定缓存，将移动节点的家乡地址设置在家乡地址列表中。

一种家乡代理，包括：接收模块、发送模块、检测模块和处理模块，其中，

接收模块，用于接收移动节点发送的绑定更新请求，获取到该移动节点的家乡地址后，将该移动节点的家乡地址发送给检测模块；

发送模块，用于将从检测模块接收到的携带绑定成功信息的绑定确认消息发送给该移动节点；

检测模块，用于在该移动节点的家乡地址没有设置在家乡地址列表中时，检测到该移动节点的家乡地址在设置的安全联盟列表中，向发送模块模块和处理模块发送携带绑定成功信息的绑定确认消息；

处理模块，用于从检测模块接收携带绑定成功信息的绑定确认消息，生成将该移动节点的家乡地址和当前的转交地址的绑定缓存，同时建立家乡代理与该移动节点之间的隧道，将移动节点的家乡地址设置在家乡地址列表中。

从上述方案可以看出，本发明实施例在HA建立一个安全联盟列表，作为扩展的家乡地址列表存在，预先将具有移动性的MN的家乡地址保存在该安全列表中进行保护，以使该家乡网络中的其他MN不配置所组播的家乡地址，这样，在MN到HA的注册过程中，且该注册的家乡地址未在家乡地址列表中，就可以在不采用DAD过程进行MN的家乡地址重检测的情况下，而直接对MN进行注册，保证移动到其他网络中的该MN的家乡地址不被其家乡网络中的其他MN配置为其他MN的家乡地址，从而节省了进行DAD过程所占用的时间，保证MN到HA注册的时间减少，避免在MN向HA注册过程中由于时间过长而导致被DOS攻击的可能性以及报文丢弃或已有连接的中断问题。

附图说明

图1为现有技术在IPv6网络中实现MN移动性的系统结构示意图；

图2为现有技术MN到HA进行注册的方法流程图；

图3为本发明实施例MN到HA进行注册的方法流程图；

图4为本发明实施例HA作为MN的代理，传输报文的方法流程图；

图5为本发明实施例MN到HA进行注册的系统示意图；

图6为本发明实施例HA的结构示意图；

图7为本发明具体实施例提供的MN向HA注册的网络示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面结合附图对本发明实施例作进一步的详细描述。

现有技术MN向HA注册过程中的时间过长，是因为HA进行DAD过程引起的。所以为了节省MN向HA注册的时间，减少MN在移动过程中注册的时延，避免在MN向HA注册过程中由于时间过长而导致被DOS攻击的可能性以及报文丢弃或已有连接的中断问题，本发明实施例在MN向HA注册的过程中不进行DAD过程，而保证MN的家乡地址不被同一家乡网络中的其他MN配置。因此，本发明实施例在HA上预先建立一个安全联盟列表，该安全联盟列表动态或手工配置生成，作为扩展的家乡地址列表存在，将具有移动性的MN的家乡地址保存在该安全联盟列表中进行保护，以使该家乡网络中的其他MN不配置该安全联盟列表中的家乡地址，这样，在MN到HA的注册过程中，该注册过程所涉及的家乡地址不在建立的家乡地址列表中，就可以到安全联盟列表中检测，如果已经配置有该MN的家乡地址，就可以在不采用DAD过程进行MN的家乡地址重检测的情况下，保证移动到其他网络中的该MN的家乡地址不被其家乡网络中的其他MN配置为其他MN的家乡地址并对该MN进行注册。

在本发明实施例中，在HA建立的安全联盟列表可以为基于互联网协议安全(IPsec，IP Security)的安全联盟(SA，Security alliance)列表，且作为HA中扩展的家乡地址列表存在，该列表用于对列表中作为家乡地址的MN的本地链路地址和全局地址进行保护，安全联盟列表中的每个家乡地址还可以用一个标识对需要进行保护的，不允许再分配给其他MN使用的家乡地址进行标识。

本发明具体实现时包括几个部分：第一个部分，进行安全联盟列表的设置过程，且对安全联盟列表中的家乡地址进行保护，以便使其他节点不使用该家乡地址；第二个部分，具有安全联盟列表中的家乡地址的MN移动到非家乡网络时的注册过程，该注册过程涉及的家乡地址不在建立的家乡地址列表中；第三个部分，完成第二个部分的注册过程后，HA将MN的家乡地址和HA的MAC地址相关联，通过邻居宣告消息进行组播，通知其他节点该HA作为MN的代理存在，其他节点接收到该宣告消息后，在向MN发送报文时，可以携带MN的家乡地址和相关联的MAC地址，HA根据自身的MAC地址截获报文，根据携带MN的家乡地址将报文发送到对应的转交地址上，以便MN接收。

以下对三个部分分别进行详细的叙述。

第一部分，在HA设置安全联盟列表，在安全联盟列表中的家乡地址为手工IPSEC配置的，当然，也可以采用其他动态方式获取配置，如HA从家乡网络中的其他网络实体中获取到MN的家乡地址后，设置在安全联盟列表中。

当有其他节点向HA发送请求报文，如邻居请求(NS，NeighborSolicitation)时，要求某个家乡地址，HA查找该家乡地址没有设置在家乡地址列表中后，再查找到设置在安全联盟列表中，则向其他节点回复响应，如回复说明其他节点邻居宣告(NA，Neighbor Advertisement)，携带该家乡地址不能使用的信息。这样，就对HA设置的安全联盟列表中的家乡地址进行了保护。

在MN在家乡网络时，按照现有技术，其他节点就会从MN和家乡网络的HA接收到说明MN的家乡地址已经被使用的NA消息，则MN的家乡地址被保护。

在本发明实施例中，NA可以携带表示不更新其他节点的缓存所缓存的MN的家乡地址和相关联的MAC地址的信息，即将over-ridebit设置为0，这时，接收到NA的其他节点不更新缓存；如果NA携带表示更新其他节点的缓存所缓存的MN的家乡地址和相关联的MAC地址的信息，则会携带表示更新其他节点的缓存所缓存的MN的家乡地址和相关联的MAC地址的信息，即将over-ridebit设置为1。

第二部分

图3为本发明实施例MN到HA进行注册的方法流程图，其具体步骤为：

步骤301、移动到其他网络中的MN向家乡网络的HA在注册时发送绑定更新请求消息。

步骤302、HA接收到MN发起的注册时的绑定更新请求消息后，对该MN进行验证，验证通过，执行步骤303；验证不通过，则执行步骤305。

该步骤为可选步骤，HA也可以不对接收到的绑定更新请求消息进行验证，即在HA中没有设置验证功能，这样可以减轻HA处理的复杂度，这时，HA确定所有接收到的绑定更新请求消息都是可以通过验证的。

步骤303、HA检测该MN的家乡地址是否在安全联盟列表中，如果是，执行步骤304；如果否，则执行步骤305。

在本步骤中，HA需要获取到该MN的家乡地址，如通过绑定更新请求消息携带。

在本步骤中，设置的安全联盟列表中的MN的家乡地址被保护，即HA接收到其他节点要求使用该安全联盟列表中的家乡地址的请求后，不予接受。

步骤304、HA对该MN的家乡地址不进行DAD检测，给该MN返回绑定确认消息，携带成功绑定信息，并且在HA上生成将该MN的家乡地址和当前的转交地址的绑定缓存，同时建立HA与该MN之间的隧道，将MN的家乡地址设置在家乡地址列表中。

在本步骤中，由于该MN的家乡地址设置在安全联盟列表中，且该安全联盟列表用于保护所存储的家乡地址不被其他节点所使用，所以在该安全联盟列表中的家乡地址能够保证该MN使用的唯一性，所以HA就不需要对该MN的家乡地址进行DAD检测了，也不需要进行DAD过程检测所需要的时间，从而节省了注册的时间。

在进行该MN当前的转交地址和该MN的家乡地址绑定之前，需要获取该MN当前的转交地址，该MN当前的转交地址可以是该MN通过绑定更新请求消息发送的。

步骤305、HA对该MN验证通过之后，HA启动DAD，对该MN的家乡地址进行重复地址检测。

步骤306、HA进行DAD过程到达定时器设定的时间(最小设定的时间为1秒)后，没有检测到其他MN使用该MN的家乡地址。

步骤307、HA向该MN发送绑定确认消息，携带成功绑定信息，并且在HA上生成将该MN的家乡地址和当前的转交地址的绑定缓存，建立HA与该MN之间的隧道，将MN的家乡地址设置在家乡地址列表中。

在进行图3所示的步骤302之前，该方法还包括：HA判断该MN的家乡地址是否在建立的家乡地址列表中，如果是，直接执行304；如果否，执行步骤303。

第三部分

当安全联盟中的家乡地址被注册之后，即在执行完步骤304之后，HA通知HA作为该MN家乡地址的代理存在，即HA将MN的家乡地址和HA的MAC地址相关联，携带在邻居宣告消息中，进行组播，使得通过组播接收到该消息的其他节点获知HA作为该MN家乡地址的代理存在。这时，其他节点接收到该邻居宣告消息后，将该MN的家乡地址和HA的MAC地址相关联进行缓存，如缓存在其他节点的邻居缓存中。在该邻居宣告消息中，还可以携带一个标识，用于指示其他MN是否需要更新自身的邻居缓存，如设置over-ride为1。在向MN发送报文时，可以携带MN的家乡地址和相关联的MAC地址，HA根据自身的MAC地址截获报文，根据携带MN的家乡地址将报文发送到对应的转交地址上，以便MN接收。

在本发明实施例中，节点各自具有邻居缓存，缓存有MN的家乡地址和相关联的MAC地址。

在本发明实施例中，在图3中，还可以在MN发送的绑定更新消息中携带置位的链路层地址兼容标识(L)，该标识用于指示HA需要作为MN的链路本地地址和全局地址的家乡代理，当注册完成后，HA组播的邻居宣告消息中，携带MN的作为家乡地址的链路本地地址和全局地址与HA的MAC地址的关联信息，接收到该消息的节点更新自身的缓存。当MN发送的绑定更新消息中不携带L或不置位L时，则HA作为MN的全局地址的代理，当注册完成后，HA组播的邻居宣告消息中，携带MN的作为家乡地址的全局地址与HA的MAC地址的关联信息，接收到该消息的节点更新自身的缓存，这时，该MN的链路本地地址可以被其他节点所使用。

图4为本发明实施例HA作为MN的代理，传输报文的方法流程图，其具体步骤为：

步骤401、当HA对离开家乡网络的MN注册后，将该MN的家乡地址和HA的MAC地址相关联，携带在邻居宣告消息中组播；

在本步骤中，该邻居宣告消息中还携带指示其他节点是否更新缓存的标识，如设置over-ride为1，标识需要更新；

步骤402、接收到该邻居宣告消息的其他节点获知HA作为该MN家乡地址的代理存在，更新自身的缓存，将相关联的HA的MAC地址和该MN的家乡地址进行缓存；

步骤403、其他节点向该MN发送报文，携带MN的家乡地址和相关联的MAC地址；

步骤404、HA根据自身的MAC地址截获报文，根据携带MN的家乡地址将报文发送到对应的转交地址上，以使MN接收。

这样，就使移动到家乡网络外的MN接收到报文了，而发送报文的其他节点不会感知到该MN已经移动到家乡网络之外了。

图5为本发明实施例MN到HA进行注册的系统示意图，包括MN和HA，其中，

MN，用于向HA发送绑定更新请求，接收HA发送的携带绑定成功信息的绑定确认消息；

HA，用于接收MN发送的绑定更新请求，在该MN的家乡地址没有设置在家乡地址列表中时，检测到该MN的家乡地址在设置安全联盟列表中，不进行DAD检测，向该MN返回携带绑定成功信息的绑定确认消息，在HA上生成将该MN的家乡地址和当前的转交地址的绑定缓存，同时建立HA与该MN之间的隧道，将MN的家乡地址设置在家乡地址列表中。

在本发明实施例中，HA还进一步用于检测该MN的家乡地址没有设置在安全联盟列表中，则按照现有技术进行对MN的注册，发送携带绑定成功信息的绑定确认消息。

在本发明实施例中，该系统还包括其他节点，用于向HA发送NS，请求使用MN的家乡地址；

HA，进一步用于接收到NS后，确定该MN的家乡地址设置在安全联盟列表或/和家乡地址列表中，则向其他节点返回携带不能使用所请求的家乡地址的NA。

在本发明实施例中，HA还进一步用于在MN进行注册后，向其他节点组播携带相关联的该MN的家乡地址和HA的MAC地址的宣告消息，根据自身MAC地址截获发送给MN的报文，根据携带MN的家乡地址将报文发送到对应的转交地址上；

其他节点，用于接收到该宣告消息后，采用相关联的该MN的家乡地址和HA的MAC地址更新自身缓存，在给MN发送报文时，携带相关联的该MN的家乡地址和HA的MAC地址。

图6为本发明实施例HA的结构示意图，包括接收模块、发送模块、检测模块和处理模块，其中，

接收模块，用于接收MN发送的绑定更新请求，获取到该MN的家乡地址后，将该MN的家乡地址发送给检测模块；

发送模块，用于将从检测模块接收到的携带绑定成功信息的绑定确认消息发送给该MN；

检测模块，用于在该MN的家乡地址没有设置在家乡地址列表中时，检测该MN的家乡地址在设置的安全联盟列表中，向发送模块和处理模块发送携带绑定成功信息的绑定确认消息；

处理模块，用于从检测模块接收携带绑定成功信息的绑定确认消息，生成将该MN的家乡地址和当前的转交地址的绑定缓存，同时建立HA与该MN之间的隧道，将MN的家乡地址设置在家乡地址列表中。

在本发明实施例中，检测模块还包括第一检测子模块，其中，

第一检测子模块，用于检测该MN的家乡地址没有设置的安全联盟列表中，则按照现有技术进行对MN的注册，向收发模块发送携带绑定成功信息的绑定确认消息。

在本发明实施例中，收发模块还包括第二收发子模块，用于接收NS后，确定该MN的家乡地址设置在安全联盟列表或/和家乡地址列表中，则向其他节点返回携带不能使用所请求的家乡地址的NA。

在本发明实施例中，收发模块还包括第三收发子模块，用于在MN进行注册后，向其他节点组播携带相关联的该MN的家乡地址和HA的MAC地址的宣告消息，根据自身MAC地址截获发送给MN的报文，根据携带MN的家乡地址将报文发送到对应的转交地址上。

图7为本发明具体实施例提供的MN向HA注册的网络示意图，包括：地址为3ffe::1/64的HA，其在安全联盟列表中存储有MN的家乡地址(3ff::2/64)，移动到转交地址为8ff::2/64的移动到其他网络的MN，地址为9ffe::2/64的CN。在MN从家乡网络移动到其他网络时，需要到HA进行注册，HA确定该MN的家乡地址在所存储的安全联盟列表后，则将该MN的转交地址8ff::2/64和家乡地址3ff::2/64进行绑定缓存，建立HA和MN之间的隧道。注册完成后，组播携带相关联的HA的MAC地址和MN的家乡地址的宣告消息，接收到该消息的CN更新自身的缓存。在传输报文时，CN发送携带MN的家乡地址3ff::2/64和HA的MAC地址的报文，该报文被具有MAC地址的HA截获，HA根据该MN的家乡地址通过与MN的隧道将报文发送到MN的转交地址8ff::2/64上。

从本发明实施例提供的方法、系统及装置可以看出，由于在MN到HA注册的过程中不进行DAD过程，从而节省了注册的时间。由于节省了注册的时间，所以由于注册的延时而引起的在MN向HA注册过程中由于时间过长而导致被DOS攻击的可能性以及报文丢弃或已有连接的中断问题，都可以避免。

以上是对本发明具体实施例的说明，在具体的实施过程中可对本发明的方法进行适当的改进，以适应具体情况的具体需要。因此可以理解，根据本发明的具体实施方式只是起示范作用，并不用以限制本发明的保护范围。